Disk Union: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, পুরো নাম, বাসা বা অন্য বাস্তব ঠিকানা কিংবা পোস্টাল কোডের মতো অবস্থানসংক্রান্ত তথ্য, ফোন ও ফ্যাক্সের তথ্য, সদস্যপদ নম্বর বা ব্যবহারকারীর শনাক্তকারী এবং লগইন পাসওয়ার্ড। স্বাধীন তথ্য ফাঁসের সূচিতে তথ্যের শ্রেণিগুলো হিসেবে ইমেইল ঠিকানা, ভৌগোলিক অবস্থান, নাম, পাসওয়ার্ড, ফোন নম্বর ও ব্যবহারকারীর নাম তালিকাভুক্ত রয়েছে। কোম্পানির ঘোষণায় অনলাইন স্টোরের সদস্যদের সদস্য নম্বর ও ঠিকানার তথ্যের কথাও উল্লেখ করা হয়েছে। এ কারণে Disk Union-এর তথ্য ফাঁসের ঘটনাটি শুধু ইমেইল ঠিকানার একটি তালিকা ফাঁস হওয়া নয়; এটি আরও ঝুঁকিপূর্ণ একটি গ্রাহক অ্যাকাউন্টসংক্রান্ত ঘটনা, যেখানে যোগাযোগ, পরিচয় ও লগইনের তথ্য একসঙ্গে রয়েছে।

প্লেইনটেক্সট পাসওয়ার্ডের তথ্য এই ঘটনার সবচেয়ে গুরুতর অংশ। পাসওয়ার্ডের হ্যাশের বদলে সরাসরি পড়া যায় এমন পাসওয়ার্ড প্রকাশ পাওয়ায় অন্য সেবায় একই ইমেইল ও পাসওয়ার্ডের জোড়া দিয়ে লগইনের চেষ্টা করা সহজ হয়। নাম, ঠিকানা ও ফোন নম্বরের মতো তথ্যও আক্রমণকারীদের হাতে আরও প্রাসঙ্গিক তথ্য তুলে দেয়; পণ্য পাঠানো, অর্ডার, সদস্যপদ যাচাই, টাকা ফেরত বা গ্রাহকসেবাসংক্রান্ত ভুয়া বার্তা আরও বাস্তবসম্মত হয়ে উঠতে পারে। সদস্যপদ নম্বরের মতো শনাক্তকারী নিজে আর্থিক তথ্য নয়, তবে কোনো অ্যাকাউন্টের প্রতিনিধিত্ব করার দাবি বিশ্বাসযোগ্য করে তুলতে এগুলোর অপব্যবহার করা হতে পারে।

ঘটনার যাচাইকৃত পরিসর Disk Union পরিচালিত diskunion.net ও audiounion.jp অনলাইন স্টোরের মধ্যেই সীমাবদ্ধ। প্রাথমিক পর্যায়ে, তৃতীয় পক্ষের কাছ থেকে বিষয়টি জানার পর 24 জুন 2022-এ সম্ভাব্য তথ্য ফাঁস নজরে আসে; একই দিনে অনলাইন স্টোরগুলোর কার্যক্রম স্থগিত করা হয়। 27 জুন 2022-এ জাপানের ব্যক্তিগত তথ্যবিষয়ক কর্তৃপক্ষকে এবং 28 জুন 2022-এ আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানানো হয়। 29 জুন 2022-এ ঘটনাটি প্রকাশ্যে ঘোষণা করা হয়। বাইরের তদন্তের পর তথ্য ফাঁস নিশ্চিত হওয়ায় 10 আগস্ট 2022-এ বিষয়টি আরও স্পষ্ট হয়। এই সময়রেখা দেখায় যে রেকর্ডে থাকা জুন 2022-এর তথ্য ফাঁসের তারিখটি ঘটনা শনাক্ত করা ও প্রতিক্রিয়ামূলক ব্যবস্থা নেওয়ার সময়ের সঙ্গে সম্পর্কিত।

ঘটনার পরিসর বাড়িয়ে না দেখানো গুরুত্বপূর্ণ। প্রায় 7,01,000 গ্রাহক রেকর্ড হলো কোম্পানির ঘোষিত সম্ভাব্য প্রভাবের সর্বোচ্চ সীমা; আর প্রায় 6,90,667টি পৃথক ইমেইল হলো সূচিতে অন্তর্ভুক্ত পৃথক ইমেইলের সংখ্যা। এই দুটি সংখ্যা একই বিষয় পরিমাপ করে না। কোম্পানি ক্রেডিট কার্ডের তথ্য রাখে না বলে জানানো হয়েছিল, তাই এই রেকর্ডে সে তথ্য অন্তর্ভুক্ত করা হয়নি। কেনাকাটার ইতিহাস বা পেমেন্টের ইতিহাস সিস্টেমের বাইরে চলে যাওয়ার বিষয়েও কোনো যাচাইকৃত তথ্য নেই। ঘটনার কারণ হিসেবে অনলাইন স্টোরের ব্যবস্থার সঙ্গে যুক্ত একটি সার্ভারে পাওয়া নিরাপত্তা দুর্বলতার কথা জানানো হয়েছিল। সংশ্লিষ্ট প্রবেশাধিকার বন্ধ করে দেওয়া হয় এবং নিরাপত্তামূলক ব্যবস্থা সম্পন্ন না হওয়া পর্যন্ত স্টোরগুলো বন্ধ রাখা হয়।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই গ্রাহকেরা, যাঁরা 2022-এর আগে বা ঘটনাকালীন সময়ে Disk Union বা Audio Union-এর অনলাইন স্টোরে নিবন্ধন করেছিলেন। যাঁরা বিভিন্ন কেনাকাটার সাইট, ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম বা পেমেন্টের সঙ্গে যুক্ত সেবায় একই ইমেইল ও পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি উল্লেখযোগ্যভাবে বেড়ে যায়। প্লেইনটেক্সট পাসওয়ার্ড হাতে থাকলে আক্রমণকারীকে পাসওয়ার্ড ভাঙতে হয় না; অন্য লগইন ফর্মে একই তথ্য দিয়ে চেষ্টা করাই যথেষ্ট হতে পারে। তাই শুধু Disk Union অ্যাকাউন্ট নয়, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টই পর্যালোচনা করা উচিত।

জাপানের বাইরে থেকে অর্ডার করা সংগ্রাহক, রেকর্ড ও সংগীতের আর্কাইভের গ্রাহক, দীর্ঘদিন ধরে একই সদস্যপদ ব্যবহার করা ব্যক্তি এবং পুরোনো ইমেইল ঠিকানায় অ্যাকাউন্টের তথ্য রাখা গ্রাহকেরাও ঝুঁকিতে রয়েছেন। ঠিকানা, ফোন নম্বর ও সদস্যপদের শনাক্তকারী ফাঁস হওয়ায় নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা শুধু সাধারণ ফিশিংয়ের রূপেই নাও আসতে পারে; অর্ডারের অবস্থা, পণ্যের মজুতের বিজ্ঞপ্তি, সদস্যপদ হালনাগাদ বা অ্যাকাউন্ট পুনরুদ্ধারের বিষয়েও বার্তা তৈরি করা হতে পারে। এসব বার্তায় কোনো ব্র্যান্ডের সঙ্গে বাস্তব পূর্বসম্পর্ক, সদস্যপদের সম্পর্ক এবং ব্যক্তির যোগাযোগের তথ্যের ভিত্তিতে কথা বলা হচ্ছে বলে মনে হতে পারে।

Disk Union বা Audio Union-এর অনলাইন স্টোরে ব্যবহৃত পাসওয়ার্ড অবিলম্বে পরিবর্তন করা উচিত। একই পাসওয়ার্ড অন্য অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে সেগুলোতেও আলাদা ও শক্তিশালী পাসওয়ার্ড দিতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করা এবং পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার ঠেকানো সহজ হয়। ইমেইল অ্যাকাউন্ট, কেনাকাটার সাইট ও পেমেন্টের সঙ্গে যুক্ত সেবাগুলো অগ্রাধিকার দিয়ে পরীক্ষা করা উচিত, কারণ আক্রমণকারীরা প্রথমেই ইমেইল ঠিকানা ও পাসওয়ার্ডের জোড়া দিয়ে চেষ্টা করবে। যেখানে সম্ভব, দুটি ভিন্ন উপাদানের মাধ্যমে পরিচয় যাচাই (টু-ফ্যাক্টর অথেনটিকেশন) চালু করা উচিত।

সন্দেহজনক লগইনের সতর্কবার্তা, পাসওয়ার্ড পুনর্নির্ধারণের বার্তা, অপ্রত্যাশিত অর্ডারের বিজ্ঞপ্তি এবং ভুয়া গ্রাহকসেবার অনুরোধ সতর্কভাবে পরীক্ষা করা উচিত। Disk Union-এর নামসংবলিত বার্তা পেয়ে তাড়াহুড়ো করে কোনো পদক্ষেপ নেওয়া উচিত নয়; অ্যাকাউন্টসংক্রান্ত কাজ শুরু করতে ব্রাউজারে সরাসরি ঠিকানা লিখে সাইটে যেতে হবে। ব্যক্তিগত ঠিকানা ও ফোনের তথ্যও অন্তর্ভুক্ত থাকায় ফোনে আসা যাচাইয়ের অনুরোধ কিংবা ডেলিভারি ফি বা পণ্য ফেরতের ফর্মের অজুহাতে চাওয়া তথ্যের বিষয়ে আলাদাভাবে সতর্ক যাচাই করা উচিত। এই ঘটনায় ক্রেডিট কার্ডের তথ্য প্রভাবিত পরিসরের বাইরে ছিল বলে জানানো হলেও সামগ্রিক নিরাপত্তা নজরদারির অংশ হিসেবে সন্দেহজনক পেমেন্ট কার্যক্রম পর্যবেক্ষণ করা উচিত।

Disk Union-এর তথ্য ফাঁসের ঘটনা দেখায় যে পুরোনো সদস্যপদে ব্যবহৃত পাসওয়ার্ড দীর্ঘদিন ধরে ঝুঁকির কারণ হয়ে থাকতে পারে। ব্যবহারকারীদের নিয়মিত যাচাই করা উচিত কোথায় কোথায় তাঁরা একই পাসওয়ার্ড ব্যবহার করেছেন, আর ব্যবহার করেন না এমন অ্যাকাউন্ট বন্ধ করা উচিত এবং গুরুত্বপূর্ণ অ্যাকাউন্টে শক্তিশালী পরিচয় যাচাই পদ্ধতি ব্যবহার করা উচিত। ইমেইল অ্যাকাউন্ট বিশেষভাবে সুরক্ষিত রাখা দরকার, কারণ পাসওয়ার্ড পুনর্নির্ধারণের লিংক প্রায়ই ইমেইলের মাধ্যমে আসে। কোনো আক্রমণকারী ইমেইল অ্যাকাউন্টে প্রবেশ করতে পারলে একের পর এক আরও অনেক অ্যাকাউন্ট দখলের ঘটনা ঘটতে পারে, যা শুধু Disk Union-এ সীমাবদ্ধ থাকবে না।

প্রতিষ্ঠানের দিক থেকে এই ঘটনা তুলে ধরে যে অনলাইন স্টোরের ব্যবস্থায় পাসওয়ার্ড প্লেইনটেক্সট হিসেবে সংরক্ষণ করা কত বড় ঝুঁকি। পাসওয়ার্ড সুরক্ষিত রাখতে শক্তিশালী, একমুখী ও হালনাগাদ পদ্ধতি ব্যবহার করা উচিত; অপ্রয়োজনীয়ভাবে ব্যক্তিগত তথ্য ধরে রাখার সময়সীমা কমানো উচিত; এবং সদস্যপদ নম্বর, ঠিকানা ও ফোন নম্বরের মতো তথ্যের ক্ষেত্রগুলোতে প্রবেশাধিকার স্তরভিত্তিক অনুমোদনের মাধ্যমে সীমিত করা উচিত। নিয়মিত নিরাপত্তা দুর্বলতা মূল্যায়ন, লগ রেকর্ড পর্যবেক্ষণ, অস্বাভাবিকভাবে তথ্য বাইরে নেওয়ার কার্যক্রম আগেভাগে শনাক্ত করা এবং ঘটনা মোকাবিলার পরিকল্পনা পরীক্ষা করা একই ধরনের গ্রাহকতথ্য ফাঁসের প্রভাব কমায়।

এই রেকর্ডে পাওয়া মিলটি নির্দেশ করে যে আপনার ইমেইল ঠিকানা Disk Union-এর তথ্য ফাঁসের ডেটাসেটে থাকা পৃথক ইমেইলের ক্ষেত্রগুলোর সঙ্গে যুক্ত হয়ে থাকতে পারে। মিল পাওয়া মানেই আপনার সব গ্রাহকতথ্য অননুমোদিত কারও হাতে পৌঁছেছে, এমন নয়; তবে ঘটনায় প্লেইনটেক্সট পাসওয়ার্ড, যোগাযোগের তথ্য ও সদস্যপদের শনাক্তকারী জড়িত থাকায় বিষয়টি গুরুত্বের সঙ্গে নেওয়া উচিত। অগ্রাধিকার হলো একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর পাসওয়ার্ড পরিবর্তন করা এবং আপনার ইমেইল অ্যাকাউন্ট আরও ভালোভাবে সুরক্ষিত করা। পুরোনো পাসওয়ার্ডটি একটি জায়গাতেও সক্রিয় থাকলে তা বহু বছর পর স্বয়ংক্রিয় লগইনের চেষ্টার সময় ঝুঁকি তৈরি করতে পারে।

আপনার Disk Union বা Audio Union অ্যাকাউন্ট থাকলে অ্যাকাউন্টের ইতিহাস ও যোগাযোগের ঠিকানা পরীক্ষা করুন এবং আপনার অচেনা কোনো সেশন বা লেনদেনের চিহ্ন আছে কি না দেখুন। পাসওয়ার্ড পরিবর্তনের পর সেই একই পাসওয়ার্ড আর কোনো সেবায় ব্যবহার করবেন না। ফোন, ঠিকানা ও সদস্যপদের তথ্যের কারণে কোনো বার্তা ব্যক্তিগত মনে হলেও তা সন্দেহের চোখে দেখুন; প্রকৃত গ্রাহকসেবাসংক্রান্ত কাজ সরাসরি আনুষ্ঠানিক সাইটের মাধ্যমে শুরু করুন। এই রেকর্ডের উদ্দেশ্য হলো অতিরঞ্জন ছাড়া ঘটনাটি তুলে ধরা, যাচাইকৃত তথ্যের ক্ষেত্রগুলোর মধ্যে বিবরণ সীমাবদ্ধ রাখা এবং ব্যবহারকারীকে অ্যাকাউন্টের নিরাপত্তার জন্য কার্যকর পদক্ষেপ জানানো।